TLS husafiri ndani ya chaneli ya udhibiti, si kwenye handaki lote

Kuona neno TLS katika maelezo ya VPN na kuhitimisha kuwa proksi ya wavuti itaelewa trafiki ni njia ya mkato ya kawaida. Ndani ya itifaki hii wenza hubadilishana pakiti zao wenyewe, na TLS hufanya kazi kama sehemu ya chaneli moja ndani ya ubadilishanaji huo. Mzigo unaomuhimu mtumiaji husafiri katika muundo mwingine wa ujumbe, na ndiyo sababu mbili hizo haziwiani kamwe na kipindi cha kawaida cha HTTPS.

Bahasha huja kwanza

Kila pakiti ya handaki huanza na kichwa cha itifaki yenyewe: aina ya ujumbe, kitambulisho cha ufunguo na, juu ya usafirishaji wa mtiririko wa baiti, kiambishi cha urefu kinachoonyesha pakiti inaishia wapi. Msomaji asiyechambua bahasha hiyo hawezi kujua sehemu inayofuata inaanzia wapi.

outer transport (UDP datagram or TCP stream)
  -> OpenVPN header (opcode, key id, length where needed)
    -> control message (reliability wrapper, TLS exchange)
    -> data message (protected inner packet)

Mchoro huo ni ramani na si jedwali la baiti, kwa sababu sehemu kamili hutegemea aina ya ujumbe, ingawa okteti ya kwanza hufunga pamoja msimbo wa operesheni na kitambulisho cha ufunguo. Kukisia aina ya ujumbe kutoka nambari ya bandari ndiyo njia ambayo visimbuzi huishia kuita kwa makosa kile wanachokiona. Mpangilio ndio unaomuhimu kwa utambuzi: usafirishaji, kisha bahasha ya itifaki, kisha mojawapo ya aina mbili za kazi. Soma bahasha kabla ya kuunda maoni kuhusu kinachofuata. Kisimbuzi kinachoanza mahali pasipofaa huzalisha upuuzi wa kujiamini.

Tabaka la uaminifu ni la itifaki

Ujumbe wa udhibiti unahitaji uwasilishaji uliopangwa na kuthibitishwa, na itifaki hutoa hilo yenyewe kwa uthibitisho na utumaji upya. Uthibitisho unaweza kufika kama ujumbe wake wenyewe au kusafiri na ujumbe mwingine wa udhibiti, jambo linalofanya athari zionekane zisizo za kawaida kwa yeyote anayetarajia ubadilishanaji mmoja safi.

Faida ni kwamba mshikamano wa TLS hupata mtoa huduma anayeaminika hata pale usafirishaji wa nje ni UDP. Gharama ni kwamba datagramu moja inaweza kuwa na sehemu tu ya mazungumzo hayo, kwa hivyo kuichukulia kama rekodi huru ya TLS huzalisha upuuzi. Kuunganisha upya lazima kufanyike katika tabaka la itifaki. Ndiyo sababu pakiti iliyonaswa mara chache huonekana kama hatua kamili ya mshikamano.

Kubadilisha usafirishaji wa nje kuwa TCP hakuondoi tabaka hili. Usafirishaji wa kuaminika unamaanisha utumaji upya mdogo katika ngazi ya itifaki, si kwamba uwekaji fremu hupotea au trafiki inakuwa HTTP.

Pakiti za data hutumia muundo tofauti

Kipindi kinapokuwepo, mzigo wenye manufaa huja kama ujumbe wa data unaobeba pakiti za IP za ndani au fremu za Ethernet. Hizo hulindwa kwa funguo zao na uchakataji wao wenyewe, na si rekodi za programu za TLS kwa maana yoyote ambayo maktaba ya TLS ingeikubali.

Utengano huo unaonekana katika usanidi: chaneli ya udhibiti na chaneli ya data zina mipangilio tofauti ya siri, kwa hivyo mstari wa kumbukumbu unaotaja moja hausemi kitu kuhusu nyingine. Kusoma siri ya udhibiti yenye nguvu kama uthibitisho wa siri ya data yenye nguvu ni kosa la kawaida la kuripoti.

Weka pia dhana potofu inayohusiana nje ya maelezo. TLS si chaneli ya ufunguo wa umma inayokaa kando ya chaneli ya data linganifu, kwa sababu TLS yenyewe hulinda rekodi zake kwa ulinganifu mara tu funguo zinapowekwa. Tofauti halisi ni jukumu na muundo wa pakiti, si aina ya usimbaji fiche ambayo kila upande hutumia.

Kwa nini proksi ya HTTPS haiwezi kusaidia

Proksi inayomalizia TLS hutarajia mtiririko wa rekodi za TLS na kisha itifaki ya programu ndani yake. Chaneli ya udhibiti ya itifaki hii hubebwa ndani ya uwekaji fremu wake yenyewe pamoja na tabaka la uaminifu kuzunguka, kwa hivyo proksi inayomalizia husoma uwekaji fremu huo kama ingizo lililoharibika.

Kipitishaji kilicho wazi kinachopitisha baiti au datagramu bila kuzitafsiri kinaweza kufanya kazi, mradi hakisimulii upya au hakuunganishi upya mtiririko. Swali la kumuuliza mtu yeyote wa kati ni kama anapitisha usafirishaji na uwekaji fremu halisi, si kama anaunga mkono TLS mahali fulani. Uliza hilo kabla ya kutumia jioni kwenye kanuni za proksi. Mengi ya kushindwa hapa ni ya usanifu na si mpangilio unaokosekana.

Kusoma athari kwa usahihi

Tarajia ubadilishanaji wa udhibiti kwanza, kisha idadi kubwa zaidi ya ujumbe wa data, zote zikishiriki usafirishaji mmoja. Ikiwa awamu ya udhibiti inakamilika na awamu ya data inakwama, hitilafu inahusu funguo, uelekezaji au uchujaji wa njia ya data na si mshikamano. Nasa ujumbe wa data kadhaa na uangalie kama unaondoka kwa mteja. Uchunguzi huo mmoja unagawanya utafutaji kwa nusu.

Maelezo ya kihistoria ya mbinu za ufunguo katika nyaraka za itifaki hayamaanishi kwamba toleo fulani bado linaunga mkono kila muundo wa zamani. Angalia toleo unalotumia kabla ya kujenga matarajio juu ya aya inayoeleza jinsi mambo yalivyokuwa yakifanya kazi zamani.